Quasi ogni sito aziendale raccoglie dati personali, anche quando il titolare non ci pensa: l'indirizzo IP di chi visita, i dati inseriti nel modulo contatti, i cookie delle statistiche, quelli di una mappa o di un video incorporato. Per questo le regole sulla protezione dei dati valgono anche per il sito di un artigiano o di uno studio con tre persone. In questa guida vediamo cosa chiedono il Regolamento europeo (GDPR) e le linee guida del Garante sui cookie, quali sono gli errori più diffusi nei siti italiani e una lista di controllo da usare sul tuo sito.
Questa è un'informazione generale, non una consulenza legale. Ogni attività tratta dati diversi: per l'informativa e per i casi particolari (dati sanitari, minori, marketing) è bene affidarsi a un consulente privacy o a un legale.
Quali regole valgono per un sito
- Il GDPR, Regolamento (UE) 2016/679, applicato dal 25 maggio 2018. Stabilisce i principi (dati raccolti solo se servono, per scopi chiari, conservati il tempo necessario), le informazioni da dare alle persone, i loro diritti e gli obblighi di sicurezza.
- Il Codice privacy, D.Lgs. 196/2003, aggiornato dal D.Lgs. 101/2018 per adeguarlo al GDPR. L'articolo 122 regola l'uso dei cookie e di strumenti simili sul dispositivo dell'utente.
- Le Linee guida cookie e altri strumenti di tracciamento del Garante per la protezione dei dati personali, provvedimento n. 231 del 10 giugno 2021, pubblicate nella Gazzetta Ufficiale n. 163 del 9 luglio 2021. I siti avevano sei mesi per adeguarsi: le regole si applicano pienamente dal 10 gennaio 2022.
Chi gestisce il sito per la propria attività è il titolare del trattamento: è l'azienda o il professionista, non l'agenzia che ha costruito il sito. Le scelte (quali dati chiedere, per quanto conservarli, quali strumenti usare) restano sue.
L'informativa privacy: cosa deve dire
L'articolo 13 del GDPR elenca le informazioni da dare quando si raccolgono dati direttamente dalla persona, come succede con un modulo. In pratica l'informativa del sito deve indicare:
- chi è il titolare e come contattarlo, ed eventualmente il responsabile della protezione dei dati (DPO), se nominato;
- per quali scopi si usano i dati e su quale base giuridica (per esempio rispondere a una richiesta, gestire un contratto, inviare una newsletter con il consenso);
- a chi possono essere comunicati, per esempio il fornitore dell'hosting o del servizio email;
- se i dati vanno fuori dall'Unione europea e con quali garanzie;
- per quanto tempo vengono conservati, o con quale criterio;
- i diritti della persona: accesso, rettifica, cancellazione, limitazione, opposizione, portabilità, revoca del consenso;
- il diritto di presentare reclamo al Garante;
- se fornire i dati è obbligatorio e cosa succede se non vengono forniti.
Il testo deve essere chiaro e facile da trovare: un link "Privacy" nel piè di pagina di ogni pagina e un richiamo vicino a ogni modulo. L'errore più comune è copiare l'informativa di un altro sito: cita servizi che non usi, dimentica quelli che usi davvero e spesso indica il titolare sbagliato.
I cookie: quali chiedono il consenso e quali no
Un cookie è un piccolo file che il sito salva nel browser di chi visita. Le linee guida del Garante distinguono in base allo scopo.
| Tipo | A cosa serve | Serve il consenso? |
|---|---|---|
| Tecnici | Far funzionare il sito: carrello, accesso all'area riservata, lingua, memoria delle scelte sui cookie | No, basta l'informativa |
| Statistici (analytics) "minimizzati" | Contare le visite in forma aggregata, per un solo sito, con l'indirizzo IP mascherato e senza incroci con altri dati | No, se rispettano tutte le condizioni del Garante |
| Statistici non minimizzati | Statistiche che non rispettano quelle condizioni | Sì |
| Di profilazione e marketing | Seguire la persona tra siti diversi, mostrare pubblicità mirata, misurare le campagne | Sì, sempre prima di attivarli |
Per gli statistici, il Garante indica come misura minima il mascheramento almeno dell'ultima parte dell'indirizzo IP, l'uso dei dati solo per statistiche aggregate sul singolo sito e il divieto di incrociarli con altre informazioni o di cederli. Gli strumenti di terze parti vanno valutati caso per caso: non basta che il fornitore dichiari un'opzione che nasconde parte dell'indirizzo IP.
Attenzione anche agli elementi incorporati: una mappa, un video, un pulsante di condivisione social o un carattere tipografico caricato da un server esterno possono far partire comunicazioni verso terze parti appena si apre la pagina. Vanno conosciuti, dichiarati e, quando installano cookie non tecnici, attivati solo dopo il consenso.
Il banner cookie fatto come chiede il Garante
Se il sito usa cookie che richiedono il consenso, al primo accesso deve comparire un banner. Le linee guida del 2021 fissano alcuni punti precisi:
- Prima della scelta, nessun cookie non tecnico. Le impostazioni di partenza devono essere sul rifiuto: le caselle delle singole categorie non possono essere già attive.
- La X chiude e rifiuta. Chiudere il banner con la X in alto a destra equivale a mantenere le impostazioni di partenza, cioè nessun tracciamento.
- Lo scorrimento della pagina non è consenso. Il semplice scroll non basta a dire "sì".
- Niente "cookie wall". Bloccare l'accesso al sito a chi non accetta è, in linea di principio, illecito, salvo casi particolari da valutare singolarmente.
- Scelte per categoria. Oltre ad accettare tutto, la persona deve poter scegliere quali finalità attivare.
- Non riproporlo di continuo. Dopo un rifiuto, il banner non va ripresentato prima di sei mesi, salvo cambi importanti (per esempio nuove terze parti) o se l'utente ha cancellato i cookie.
- Cambiare idea deve essere facile. Serve un link sempre visibile, di solito nel piè di pagina, per rivedere le proprie scelte.
- Il legittimo interesse non basta. Il Garante esclude che possa giustificare cookie e strumenti di tracciamento non tecnici.
Moduli di contatto e richieste di preventivo
Il modulo è il punto in cui il sito raccoglie più dati. Qualche regola pratica:
- Chiedi solo ciò che serve. Per richiamare un cliente bastano nome, un recapito e il messaggio. Codice fiscale, data di nascita o indirizzo completo, se non servono per quella richiesta, non vanno chiesti: è il principio di minimizzazione dell'articolo 5 del GDPR.
- Informativa a portata di mano. Accanto al pulsante di invio, una frase breve con il link all'informativa completa.
- Rispondere non è fare marketing. Usare i dati per rispondere alla richiesta che la persona ti ha appena fatto rientra, di norma, nelle attività necessarie a dare seguito alla sua domanda. Inserirla in una newsletter o mandarle offerte è un'altra finalità, che richiede un consenso separato, libero e mai già spuntato.
- Protezioni anti-spam. Anche i sistemi che filtrano i messaggi automatici sono servizi di terze parti: vanno scelti con criterio e citati nell'informativa.
Lo stesso ragionamento vale per un assistente virtuale che risponde ai visitatori: se la persona scrive nome e telefono nella chat, quei dati vanno trattati come quelli di un modulo. Ne parliamo nella guida sul sito con chatbot AI.
I fornitori del sito: hosting, email, statistiche
Hosting, servizio di posta, piattaforma delle statistiche, sistema di prenotazione: chi tratta dati personali per conto tuo è un responsabile del trattamento (articolo 28 del GDPR) e il rapporto va regolato con un contratto o un atto di nomina. I grandi fornitori offrono di solito un accordo standard sul trattamento dei dati, da conservare.
Conta anche dove stanno i dati. Il trasferimento fuori dall'Unione europea è possibile solo con garanzie previste dal GDPR. Per gli Stati Uniti la Commissione europea ha adottato il 10 luglio 2023 la decisione di adeguatezza sul Data Privacy Framework, che riguarda le aziende americane aderenti a quel sistema. Prima di attivare uno strumento esterno vale la pena controllare dove conserva i dati e con quali garanzie.
Sicurezza del sito e violazioni dei dati
L'articolo 32 del GDPR chiede misure di sicurezza adeguate al rischio. Per un sito questo significa, come minimo:
- connessione protetta (https, il lucchetto nella barra dell'indirizzo), indispensabile quando ci sono moduli;
- aggiornamenti regolari della piattaforma e delle estensioni, soprattutto sui siti WordPress;
- password robuste per l'area di amministrazione e accessi solo per chi ne ha bisogno;
- copie di sicurezza del sito e dei dati raccolti.
Se si verifica una violazione che mette a rischio i dati delle persone (per esempio un attacco che espone le richieste ricevute dal modulo), l'articolo 33 prevede la notifica al Garante entro 72 ore dal momento in cui il titolare ne viene a conoscenza, salvo che sia improbabile un rischio per i diritti delle persone.
Cosa si rischia
L'articolo 83 del GDPR prevede sanzioni amministrative che, per le violazioni più gravi, arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. Sono massimi: il Garante valuta caso per caso gravità, durata e comportamento del titolare.
Lista di controllo per il tuo sito
- Nel piè di pagina c'è un link all'informativa privacy e uno all'informativa cookie.
- L'informativa indica il titolare giusto, i servizi realmente usati e i tempi di conservazione.
- Aprendo il sito in incognito, prima di qualsiasi scelta, non partono cookie di profilazione né statistiche non minimizzate.
- Il banner ha la X per chiudere, il rifiuto è facile quanto l'accetto e c'è la scelta per categorie.
- Esiste un link per modificare le scelte sui cookie in qualsiasi momento.
- Mappe, video e altri elementi esterni sono dichiarati e, se servono, bloccati fino al consenso.
- Il modulo contatti chiede solo i dati necessari e ha il richiamo all'informativa.
- L'eventuale consenso al marketing è separato e non preselezionato.
- Il sito è in https ed è aggiornato.
- I contratti con i fornitori che trattano dati sono conservati.
La parte tecnica, con Faberweb
Molti aspetti della privacy di un sito sono scelte tecniche: quali servizi esterni caricare, come impostare il modulo, quali statistiche usare. Nei siti che realizziamo il lucchetto di sicurezza SSL è compreso, il modulo contatti è collegato alla tua email e le statistiche delle visite sono incluse il primo anno nelle formule Web Four (450 € + IVA) e Six Four (550 € + IVA). Con un canone di manutenzione ci occupiamo anche di aggiornamenti, sicurezza e copie del sito.
Il contenuto dell'informativa e le decisioni sul trattamento restano del titolare, ed è bene definirli con il proprio consulente privacy: noi ti spieghiamo con chiarezza quali dati passano dal sito e attraverso quali servizi, così il consulente ha un quadro preciso. Le formule e i progetti su preventivo sono nella pagina Siti web con Intelligenza Artificiale.
Per una domanda sul tuo sito compila il modulo contatti o telefona al 0371 464 186, raggiungibile anche su WhatsApp.
Domande frequenti
Un sito vetrina senza moduli deve avere l'informativa privacy?
In pratica sì. Anche senza moduli il sito tratta dati tecnici di chi lo visita, come l'indirizzo IP nei registri del server, e quasi sempre usa almeno cookie tecnici o servizi esterni. Un'informativa breve e precisa, raggiungibile da ogni pagina, è il minimo per un sito aziendale.
Se uso solo cookie tecnici serve il banner?
Per i soli cookie tecnici le linee guida del Garante non richiedono il consenso, quindi non serve un banner per raccoglierlo: basta l'informativa, anche inserita nell'informativa generale del sito. Lo stesso vale per gli statistici che rispettano tutte le condizioni di minimizzazione indicate dal Garante.
Chiudere il banner con la X vale come consenso?
No. Secondo le linee guida del Garante del 10 giugno 2021 la chiusura con la X lascia le impostazioni di partenza, cioè nessun cookie non tecnico. Anche lo scorrimento della pagina, da solo, non vale come consenso.
Ogni quanto si può riproporre il banner a chi ha rifiutato?
Il Garante indica che non va ripresentato prima di sei mesi, salvo cambiamenti importanti nel trattamento, come l'arrivo di nuove terze parti, oppure quando non è possibile sapere se il cookie con la scelta è stato memorizzato o è stato cancellato dall'utente.
Per rispondere a chi scrive dal modulo serve la casella del consenso?
Di norma no, perché i dati servono a dare seguito alla richiesta che la persona stessa ha fatto: basta informarla con l'informativa. Il consenso serve invece per finalità diverse, come newsletter o offerte commerciali, e deve essere una casella separata e non spuntata in partenza. Per i casi particolari conviene sentire il proprio consulente.
L'agenzia che ha fatto il sito è responsabile della privacy?
Il titolare del trattamento è l'azienda o il professionista proprietario del sito. Chi gestisce tecnicamente il sito o i dati per suo conto può essere responsabile del trattamento, con un contratto che lo regola. La responsabilità delle scelte, compresa l'informativa, resta del titolare.